“PayPal 계정에 500달러의 지급 대기 금액이 있습니다! 클릭만 하시면 됩니다!” — 낯익은 문장이 아닌가요?
카스퍼스키(Kaspersky) 보고서에 따르면, 은행이나 정상 기업을 사칭해 접근하는 피싱 공격은 2011년부터 2013년 사이 무려 87%나 증가했습니다. 흥미로운 점은 같은 기간 정상 기업이 광고 목적으로 발송하는 스팸 메일 비율은 오히려 감소했다는 사실입니다.
이러한 변화는 스팸보다 피싱이 사용자로 하여금 링크를 클릭하고 개인 정보를 넘겨주도록 유도하는 데 훨씬 효과적이라는 뜻으로 해석할 수 있습니다. 피싱은 지속적으로 성장하는 중대한 보안 위협이기에, 과거에도 피싱의 개념과 인식 방법을 다룬 바 있으며 2014년 초에는 구글 로그인 페이지를 사칭한 최신 수법 등도 소개했습니다.
가짜 이메일에 경계하라
여기서 꼭 기억해야 할 한 가지가 있다면, 바로 ‘교육’이 피싱에 대한 최고의 방어책이라는 점입니다. 피싱 공격이나 이메일 사기를 간단히 식별하는 방법을 알고 있다면 스스로를 완벽하게 보호할 수 있습니다. 이 일을 대신해 줄 소프트웨어는 없습니다. 어떤 프로그램도 이메일 속 링크 클릭, 파일 다운로드, 가짜 로그인 페이지 접속을 막아주지 못합니다. 이런 위협에 대한 마지막 방어선은 오직 당신 자신입니다.
과거에는 DNS 서비스 활용이나 브라우저 피싱 차단 목록 설정 같은 기술적 대응 방법을 소개한 적이 있지만, 그 외에도 위험한 이메일을 식별하고 삭제하기 위해 주시해야 할 몇 가지 특징들이 있습니다.
1. 인간의 욕심을 노린 사기
사기꾼들은 사람의 감정을 이용해 이메일 링크를 클릭하도록 유도합니다. 가장 흔히 이용되는 감정은 욕심, 죄책감, 선의, 육체적 욕망, 공포입니다. 그중 첫 번째로 살펴볼 것은 ‘욕심’을 노린 피싱 메일로, 지금까지 가장 흔한 피싱 이메일 유형이기도 합니다.
보통 해외에 있는 ‘수혜자’에게 돈을 전달하는 데 도움이 필요하다는 식의 내용입니다. 정부 부패 없이 안전하게 국제 송금이 가능한 나라에 살고 있는 당신은 단순한 자금 이체의 중간 통로 역할을 맡게 되고, 그 대가로 상당한 수수료를 약속받습니다.
이런 이메일은 상당히 공식적으로 보이는 경우가 많습니다. 하단 서명에 거대한 조직명이 적혀 있어 이런 사기에 연루될 리 없다고 생각되기 때문입니다. 하지만 문제는 그 사람이 실제로 해당 기관 출신이 아니라는 점입니다. 이것이 바로 ‘나이지리아 419 사기’로 불리는 오래된 수법으로, 숫자 419는 나이지리아 형법상 사기죄 조항 번호에서 유래했습니다.
이 사기는 회신 메일 하나만 보내면 시작됩니다. 그러면 사기꾼은 길고 그럴듯한 이야기를 엮어 결국 은행 계좌 정보를 제공하게 만듭니다. 참고로 모든 메일이 나이지리아를 언급하지는 않습니다. 중국, 중동 등 다른 지역에서 돈을 이체하는 데 도움이 필요하다는 내용의 피싱 메일이 전 세계 메일 계정으로 날아들고 있습니다.
이들은 봇이 아니라 실제 사람들이며, 회신하면 설득력 있게 답장을 보내옵니다. 하지만 확신하십시오. 이들은 누군가 회신해 주기를 바라는 범죄자들입니다. 이런 메일을 발견하면 즉시 삭제 버튼을 누르세요. 회신한다면 이체되는 것은 당신 계좌에서 빠져나가는 돈뿐입니다.
이 사기에 걸린 사람들이 어리석어서가 아닙니다. 실제로 4년 동안 30만 달러 이상을 잃었다고 털어놓는 피해자 ‘질(Jill)’의 사례도 있습니다.
2. 인간의 선의를 노린 사기
이메일 사기꾼들은 부정적인 감정만 노리지 않습니다. 착한 사람이라면 당신도 표적이 됩니다. 흔한 수법 중 하나는 자선단체인 척 이메일을 보내는 것입니다. 대부분 들어본 적 없는 단체 이름을 쓰는데, 유명 단체를 사칭하려면 이메일 주소가 실제 단체와 연결되어야 하기 때문입니다. 대신 사기꾼들은 자신이 후원 중인 중요한 목적을 강조하며 당신의 지원을 요청하고, 발신 주소는 대개 무료 웹메일 계정입니다.
더 흔한 이메일 사기는 계정 탈취 후 대량 발송 수법입니다. 보안이 취약한 지인의 이메일 계정이 해커에게 탈취되면, 해커는 그 사람 연락처에 있는 모든 이에게 해외에 고립되어 돈이 필요하다는 처절한 사연을 담은 이메일을 보냅니다.
회신을 기다렸다가 이야기를 조금씩 늘려가며 웨스턴유니언(Western Union) 같은 송금 서비스로 돈을 보내달라고 요구합니다. 사기꾼과 직접 통화까지 한 사례도 있습니다. 프랑스에 고립된 조카에게 3,000달러를 보내려다 가족들의 만류로 겨우 면한 한 노부인의 이야기도 있었죠.
3. 당신의 나쁜 기억력을 노린 사기
당신은 바쁩니다. 지난주에 온라인으로 가입한 것들을 반도 기억 못 할 판에 지난달 일은 더더욱 기억하기 어렵습니다. 일부 이메일 사기꾼은 바로 이 기억력 부족을 노립니다. 신청한 적 없는 ‘승인 완료’ 알림이나 참가한 기억이 없는 경품 추첨 당첨 통지 메일을 보내는 것입니다.
특히 교묘한 것이 “귀하의 신청이 승인되었습니다”라는 이메일입니다. 온라인 활동이 많은 바쁜 사람들에게 특히 효과적입니다. 신청한 기억은 없지만 호기심이 발목을 잡아 결국 링크를 클릭하게 됩니다. 이후의 일은 불 보듯 뻔합니다.
더 흔한 것은 “당첨을 축하합니다” 유형의 이메일입니다. 누구나 경품에 당첨되길 원하고, 금액이 크다면 회신하고 상금을 ‘수령’하는 일을 참기란 매우 어렵습니다. 이런 메일의 작동 방식은 대개 이렇습니다. 상금을 받으려면 ‘즉시 입금’을 위해 은행 정보를 제공해야 한다는 것. 결과적으로 일어나는 일은 입금이 아니라 출금입니다!
이런 피싱 메일이 특히 효과적인 이유는, 드디어 경품에 당첨됐다고 믿고 싶지 않은 사람이 없기 때문입니다. 자신을 지키기 위한 조언 하나. 가입한 기억이 없다면 아마 가입하지 않았을 가능성이 높습니다. 링크를 클릭하지 말고 ‘삭제’ 버튼을 누르세요.
4. 로맨스를 노린 사기
마케팅 업계에서 “섹스는 잘 팔린다(sex sells)”는 말이 있듯이, 안타깝게도 이메일 사기꾼들의 세계에서도 같은 법칙이 통합니다. 매일 수많은 이메일이 남성들을 향해 발송되는데, 발신자는 남자친구, 데이트 상대, 혹은 불륜 상대를 찾는 여성인 척합니다.
이 사기꾼들은 링크(대개 tinyurl 같은 단축 URL)를 클릭하거나 이메일에 회신해 사진을 요청하거나 대화를 시작하길 기대합니다. 회신하게 되면 사기꾼(참고로 실제 여성인 경우조차 드뭅니다)이 답장을 보내며 “비밀리에 대화를 이어가기 위해” 온라인 데이팅 서비스에 가입하도록 유도합니다.
더 심한 경우에는 재정적 위기나 위험한 상황에 처했다고 둘러대며, 보호받을 남자를 찾는 가엾은 여성을 돕기 위해 돈을 보내도록 피해자를 설득합니다.
당연히 이런 이메일은 무시해야 합니다. 안타깝게도 이런 메일이 계속 존재한다는 것은 성공률이 상당히 높다는 뜻입니다. 연애를 원한다면 데이팅 사이트에서 좋은 인상을 남기는 것을 추천하지만, 이런 이메일에 회답해서 얻을 수 있는 건 사랑이 아니라 텅 빈 지갑뿐입니다.
5. 공포심을 이용한 사기
마지막으로 가장 흔한 사기 이메일 유형은 ‘충격과 공포(shock and awe)’ 방식입니다. PayPal이나 Facebook 같은 정상 조직을 사칭하는 오랜 수법과 비슷하지만, 이 경우에는 공공 안전을 보호하는 비영리 단체나 정부 기관을 사칭합니다.
이메일은 주의를 끌 만한 충격적인 내용으로 경고합니다. 예컨대 “지역 대출 금리가 사상 최저치! 지금 바로 클릭하세요!” 같은 메시지나, 더 최근에는 성범죄자가 당신 동네로 이사 왔다는 경고 등입니다.
다시 한번 강조합니다. 이런 종류의 이메일 안에 있는 링크는 절대 클릭하지 마세요! 정말 경고가 사실인지 확인하고 싶다면, 링크 위에 마우스를 올려 브라우저 상태 표시줄에 나타나는 URL을 확인하세요. 상태 표시줄에 URL이 보이지 않으면 링크를 우클릭해 ‘링크 주소 복사’를 선택합니다.
복사한 URL을 메모장에 붙여넣으면 실제 링크가 어디로 연결되는지 확인할 수 있습니다. 확인해 보면 정상 기관이라면 기대할 만한 .org나 .gov 주소가 아니라, 생소한 닷컴(dot-com) 주소로 연결되는 것을 알 수 있습니다.
결론: 메일함 앞에서는 감정을 배제하라
결국 인간 감정을 노리는 피싱 이메일과 사기로부터 자신을 지키는 가장 효과적인 방법은, 메일함을 다룰 때 감정을 완전히 배제하는 것입니다. 요즘 대부분의 온라인 메일 서비스는 이런 이메일을 상당히 잘 인식해 스팸 폴더로 분류하지만, 그렇지 못할 때는 당신 자신의 상식과 주의가 최고의 방어막이 됩니다.